Выбор ответа Senior Сессии и безопасность обновлено
Фиксация сессии
Вопрос
Зачем вызывать session_regenerate_id(true) после успешного входа?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Чтобы навязанный до входа id сессии перестал работать. При фиксации сессии атакующий заранее навязывает жертве известный ему идентификатор (например, ссылкой).
Варианты ответа
- Чтобы продлить срок жизни сессии после входа в систему
- Чтобы зашифровать данные сессии новым ключом пользователя
- Чтобы навязанный до входа id сессии перестал работатьправильный ответ
- Чтобы разлогинить пользователя на других устройствах
Разбор
При фиксации сессии атакующий заранее навязывает жертве известный ему идентификатор (например, ссылкой). Если после входа идентификатор не меняется, атакующий получает авторизованную сессию. Смена id при повышении привилегий закрывает атаку, а true удаляет старые данные. Срок жизни, шифрование и выход на других устройствах этим не решаются.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.